ModSecurity corrige dos vulnerabilidades de alta gravedad que permitían eludir el WAF y la posible ejecución remota de código.

Se han descubierto dos vulnerabilidades de alta gravedad en ModSecurity, el firewall de aplicaciones web (WAF) de código abierto utilizado con Apache, IIS y Nginx.

Dos avisos de GitHub publicados por el mantenedor airween el 30 de septiembre describen vulnerabilidades que permiten la carga de archivos maliciosos y fallos del servidor que podrían derivar en la ejecución remota de código.

ModSecurity inspecciona el tráfico web y bloquea las solicitudes que parecen maliciosas. Muchos sitios web dependen de él, por lo que cualquier fallo en su interpretación de las solicitudes es importante.

CVE-2026-104269 (GHSA-5pww-8rfg-9crf) afecta a ModSecurity 3.0.0 y versiones posteriores, permitiendo ataques de red no autenticados que eluden las comprobaciones de archivos y comprometen la integridad. No hay una versión parcheada disponible.

ModSecurity corrige vulnerabilidades de alta gravedad.

El problema reside en una discrepancia en la forma en que el firewall y la aplicación interpretan las cargas de archivos. El analizador multipart de ModSecurity no es compatible con RFC 2231, un estándar para valores codificados en encabezados. Muchos frameworks de aplicaciones sí lo son. Cuando una solicitud contiene tanto un nombre de archivo sin formato como un nombre de archivo codificado*, estos frameworks dan preferencia al codificado.

Un atacante puede aprovechar esta vulnerabilidad enviando filename="safe.jpg" junto con filename*="UTF-8"shell.php. El conjunto de reglas principales de OWASP detecta una imagen JPG inofensiva y la permite. Un backend de Go interpreta el nombre como shell.php y puede guardarlo en el disco. Si el servidor web sirve esa carpeta, el atacante puede ejecutar código en ella.

El aviso indica que los analizadores de Go, Python (Flask y FastAPI), Node.js y Java Spring se comportan de esta manera. El manejo nativo de carga de PHP solo lee filename=", por lo que no se ve afectado. Los investigadores 0xkalawy y ZeyadZonkorany descubrieron el problema, y ​​B0YK4 coordinó el informe.

La segunda vulnerabilidad es CVE-2026-73857 (GHSA-jx3r-phvx-2jmj), reportada por el investigador Tobias Klein. Una solicitud manipulada de un usuario remoto no autenticado puede hacer que un proceso de trabajo utilice un puntero no inicializado. Esto permite... La solicitud escribe un valor fijo en una dirección que elige el remitente.

Esto puede provocar un fallo del programa, una fuga de memoria o una redirección del flujo del programa, lo que podría conducir a la ejecución remota de código. Las vulnerabilidades se identifican como CWE-787 (escritura fuera de límites) y CWE-824 (acceso a puntero no inicializado). Su vector CVSS califica el impacto como alto solo en cuanto a disponibilidad, lo que, según mis cálculos, se sitúa cerca de 7,5.

El riesgo es menor de lo que parece. El fallo solo se puede alcanzar cuando la configuración SecParseXmlIntoArgs está activada o OnlyArgs. Está desactivada por defecto. La ruta de código se añadió en la versión 3.0.15, por lo que las versiones 3.0.15, 3.0.16 y la versión maestra v3 actual se ven afectadas. Las versiones anteriores 3.0.x y ModSecurity v2 no se ven afectadas.